DirtyDecrypt: Công bố mã khai thác PoC cho lỗ hổng leo thang đặc quyền trên Linux Kernel

Một mã khai thác proof-of-concept (PoC) vừa được phát hành cho lỗ hổng bảo mật nghiêm trọng trên Linux kernel, vốn cho phép kẻ tấn công thực hiện leo thang đặc quyền cục bộ (LPE). Lỗ hổng này, được đặt tên là DirtyDecrypt (hay còn gọi là DirtyCBC), đã được đội ngũ bảo mật của Zellic và V12 phát hiện vào đầu tháng 5/2026.

Theo các chuyên gia, lỗi nằm trong hàm rxgk_decrypt_skb(), nơi xử lý việc giải mã các gói tin socket buffer (sk_buff). Vấn đề cốt lõi là sự thiếu hụt cơ chế bảo vệ copy-on-write (COW) khi kernel xử lý các trang bộ nhớ được chia sẻ với page cache của các tiến trình khác. Điều này cho phép dữ liệu bị ghi đè vào bộ nhớ của các tiến trình đặc quyền hoặc các tệp tin quan trọng như /etc/shadow, /etc/sudoers, dẫn đến khả năng chiếm quyền root.

Lỗ hổng này (định danh CVE-2026-31635, điểm CVSS 7.5) chỉ ảnh hưởng đến các bản phân phối Linux có bật cấu hình CONFIG_RXGK, điển hình như Fedora, Arch Linux và openSUSE Tumbleweed. Trong môi trường container, các worker node sử dụng phiên bản kernel bị ảnh hưởng cũng có nguy cơ bị tấn công thoát khỏi pod (pod escape).

DirtyDecrypt được đánh giá là một biến thể tương tự các lỗ hổng trước đó như Copy Fail, Dirty Frag và Fragnesia. Sự xuất hiện liên tiếp của các lỗ hổng này đã thúc đẩy cộng đồng phát triển Linux kernel thảo luận về một cơ chế “killswitch” khẩn cấp. Công cụ này cho phép quản trị viên vô hiệu hóa tạm thời các hàm kernel bị lỗi ngay tại thời điểm runtime mà không cần chờ đợi bản vá chính thức.

Trước tình hình các lỗ hổng bảo mật xuất hiện dày đặc, Rocky Linux cũng đã giới thiệu một kho lưu trữ bảo mật (security repository) tùy chọn. Mục tiêu là giúp phân phối các bản vá khẩn cấp nhanh chóng hơn trong những trường hợp lỗ hổng đã bị công khai mã khai thác nhưng bản vá từ upstream chưa kịp phát hành.

Các quản trị viên hệ thống được khuyến cáo kiểm tra cấu hình kernel và cập nhật các bản vá mới nhất từ các nhà cung cấp phân phối Linux để giảm thiểu rủi ro từ các lỗ hổng LPE này.

Nguồn tham khảo: The Hacker News